Este Acuerdo de tratamiento de datos (“DPA”, por sus siglas en inglés) se aplica cuando tú (el “Cliente”) usas Skedeon para tratar datos personales de otras personas. Forma parte de los Términos del servicio entre el Cliente y Vertex Digital L.L.C-FZ, una sociedad de responsabilidad limitada registrada en la Meydan Free Zone, Dubái, Emiratos Árabes Unidos, Licencia n.º 2648533.01, con domicilio registrado en Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, United Arab Emirates (“Vertex Digital”). Está concebido para cumplir el artículo 28 del Reglamento General de Protección de Datos (RGPD) de la UE y del Reino Unido y otras leyes similares. No es necesaria ninguna firma; si tu organización necesita una copia firmada, escribe a privacy@skedeon.com.
1. Funciones
- Cliente = responsable del tratamiento de los “Datos personales del Cliente”: datos personales de las audiencias y los contactos del Cliente que el Servicio trata siguiendo las instrucciones del Cliente.
- Vertex Digital = encargado del tratamiento de los Datos personales del Cliente.
- Vertex Digital es un responsable del tratamiento independiente respecto de los datos de los titulares de cuentas (inicio de sesión, relación de facturación, soporte, seguridad), tal como se describe en la Política de privacidad. Paddle es un responsable del tratamiento independiente respecto de los datos de pago. Meta, Google, TikTok y las demás plataformas en las que publica el Cliente son responsables del tratamiento independientes, no subencargados nuestros.
2. Objeto y características del tratamiento
- Finalidad y naturaleza: la prestación del Servicio, es decir, almacenar, organizar, mostrar, analizar y transmitir datos para programar y publicar contenido, gestionar comentarios y mensajes, ejecutar automatizaciones (Autoreply, Flows), SmartLinks y analítica.
- Interesados: personas que interactúan con las cuentas conectadas del Cliente (quienes comentan, quienes envían mensajes, los seguidores contabilizados en las estadísticas, quienes hacen clic en SmartLinks), los contactos en Flows, las personas que aparecen en el contenido del Cliente y los miembros del equipo del Cliente.
- Categorías de datos: nombres de usuario e ID en las plataformas, nombres y fotos de perfil, contenido de mensajes y comentarios, historial de interacciones, etiquetas y campos definidos por el Cliente, estadísticas agregadas y contenido subido por el Cliente. El Servicio no está diseñado para categorías especiales de datos, y el Cliente no debe utilizarlo para recopilarlas.
- Duración: mientras el Cliente use el Servicio y, después, supresión conforme a lo descrito en la sección 9.
3. Instrucciones
Vertex Digital trata los Datos personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, que son los Términos, este DPA y el uso y la configuración que el Cliente haga del Servicio, salvo que la ley exija otra cosa (en cuyo caso informaremos previamente al Cliente, salvo que la ley lo prohíba). Informaremos al Cliente si consideramos que una instrucción infringe la normativa de protección de datos.
4. Confidencialidad
Todas las personas de Vertex Digital autorizadas a tratar Datos personales del Cliente están sujetas a una obligación de confidencialidad y solo acceden a ellos en la medida necesaria para prestar, dar soporte o proteger el Servicio.
5. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas, entre ellas: cifrado en tránsito (TLS) y cifrado en reposo de los tokens de acceso a las plataformas; acceso restringido al personal autorizado con autenticación robusta; separación de los datos de cada espacio de trabajo; registro de los accesos administrativos y de las acciones realizadas a través de la API y del conector de IA; plazos de supresión automática (por ejemplo, los datos de la bandeja de entrada con más de 90 días y el contenido multimedia tras su publicación); copias de seguridad y procedimientos de recuperación; y revisión periódica de estas medidas.
6. Subencargados del tratamiento
El Cliente otorga una autorización general para los subencargados que se indican a continuación. Imponemos a cada uno de ellos obligaciones de protección de datos equivalentes a las de este DPA y seguimos siendo responsables de ellos. Anunciamos los nuevos subencargados en esta página y por correo electrónico a los titulares de cuentas con al menos 15 días de antelación; el Cliente puede oponerse por motivos razonables de protección de datos y, si no podemos atender la objeción, el Cliente puede cancelar y recibir el reembolso del periodo pagado por adelantado no utilizado.
- Cloudflare, Inc. — alojamiento de la aplicación, distribución de contenido, seguridad y almacenamiento de contenido multimedia (red global).
- Supabase, Inc. — alojamiento de la base de datos (Unión Europea).
- Sendinblue SAS (Brevo) — correo electrónico transaccional a los titulares de cuentas (Unión Europea).
7. Transferencias internacionales
Vertex Digital está establecida en los Emiratos Árabes Unidos. Cuando se transfieran Datos personales del Cliente sujetos al RGPD a un país que no cuente con una decisión de adecuación, las partes acuerdan aplicar las Cláusulas Contractuales Tipo de la UE (Decisión de la Comisión 2021/914), Módulo 2 (de responsable a encargado) y, cuando proceda, Módulo 3 (de encargado a encargado), junto con el Addendum del Reino Unido para los datos del Reino Unido. Estas cláusulas se incorporan por referencia, eligiéndose la ley de Dubái cuando las cláusulas lo permitan y, en caso contrario, la ley y los tribunales de Irlanda; este DPA proporciona la información para sus anexos. También nos basamos en los mecanismos de transferencia de nuestros subencargados.
8. Asistencia, violaciones de seguridad y auditorías
- Solicitudes de los interesados: el Servicio permite al Cliente localizar, exportar y eliminar datos; ayudamos con las solicitudes que el Cliente no pueda atender por sí solo y le remitimos las solicitudes que recibamos directamente.
- Violaciones de la seguridad de los datos personales: notificamos al Cliente sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tengamos conocimiento de una violación que afecte a Datos personales del Cliente, con la información disponible y con actualizaciones a medida que sepamos más.
- Otra asistencia: proporcionamos la información razonable que el Cliente necesite para las evaluaciones de impacto relativas a la protección de datos y las consultas a las autoridades.
- Auditorías: ponemos a disposición la información necesaria para demostrar el cumplimiento de este DPA. Cuando no sea suficiente, el Cliente puede realizar una auditoría una vez al año, con 30 días de preaviso, en horario laboral, a su propio cargo y con sujeción a confidencialidad, o designar a un auditor independiente para que la realice.
9. Supresión al finalizar
Cuando el Cliente elimina su cuenta (Settings → Delete account, es decir, Ajustes → Eliminar cuenta), los Datos personales del Cliente se suprimen de inmediato de los sistemas activos, y de las copias de seguridad en un plazo de 30 días, salvo que la ley nos obligue a conservarlos. Antes de la supresión, el Cliente puede exportar sus datos desde la app.
10. Disposiciones generales
Este DPA estará vigente mientras tratemos Datos personales del Cliente. En caso de conflicto con los Términos, este DPA prevalece en materia de protección de datos; las Cláusulas Contractuales Tipo prevalecen sobre ambos. La responsabilidad derivada de este DPA está sujeta a los límites establecidos en los Términos, salvo cuando la ley no lo permita. Este DPA está redactado en inglés; las traducciones se proporcionan por comodidad, y la versión en inglés prevalece en caso de conflicto. Contacto: privacy@skedeon.com.